Microsoft: Kẻ tấn công liên kết Trung Quốc khai thác lỗ hổng ConnectWise
"China-aligned threat actor Storm-0940 exploited compromised ConnectWise application credentials to target over 2,250 Microsoft 365 tenants. The attackers utilized the open-source AI penetration-testing tool ARTEX to automate reconnaissance, credential attacks, and privilege escalation, achieving access in some cases within three hours. Microsoft has observed persistent privileged access at numerous organizations, though the extent of data compromise remains unclear."
Vụ việc cho thấy tấn công mạng có thể diễn ra nhanh chóng với sự hỗ trợ của AI. Việc khai thác lỗ hổng trong ứng dụng của bên thứ ba tạo ra rủi ro lớn cho khách hàng.
Các doanh nghiệp sử dụng dịch vụ của ConnectWise có thể bị gián đoạn hoạt động và mất dữ liệu. Chi phí khắc phục hậu quả có thể đáng kể, đặc biệt với các tổ chức lớn.
Microsoft cho biết nhóm tấn công Storm-0940, liên kết với Trung Quốc, đã nhắm mục tiêu tới hơn 2.250 khách hàng Microsoft 365 thông qua việc khai thác thông tin xác thực ứng dụng bị xâm phạm của ConnectWise. Sự việc này xảy ra sau khi ConnectWise phải tạm dừng các dịch vụ Cloud Backup, SaaS Security và Cloud Management do phát hiện truy cập trái phép.
Storm-0940 sử dụng công cụ thâm nhập mạng dựa trên AI mã nguồn mở ARTEX để tự động hóa các cuộc tấn công. Trong một số trường hợp, chúng đạt được quyền truy cập đặc quyền vào môi trường đám mây chỉ trong vòng ba giờ. Microsoft ghi nhận hơn 151.000 nỗ lực đăng nhập thất bại vào 327 tài khoản tại tám tổ chức từ ngày 10 đến 14 tháng 10.
Kẻ tấn công lợi dụng quyền hạn mà khách hàng đã cấp cho các dịch vụ ConnectWise, không cần đăng nhập trực tiếp từ người dùng. Với ARTEX, chúng thực hiện hơn 2.250 nỗ lực xác thực vào các tenant Microsoft 365, đỉnh điểm lên tới 2.900 lần mỗi phút. Microsoft cũng quan sát thấy hoạt động tăng tốc bởi AI thông qua Microsoft Graph, bao gồm trinh sát, thay đổi thông tin xác thực ứng dụng và cố gắng sửa đổi quyền truy cập.
Microsoft xác nhận đã phát hiện quyền truy cập đặc quyền kéo dài tại nhiều tổ chức, nhưng chưa tiết lộ số lượng khách hàng bị ảnh hưởng hoặc dữ liệu có bị đánh cắp hay không. CEO ConnectWise, Manny Rivelo, cho biết công ty đã ngăn chặn các kết nối ứng dụng bị ảnh hưởng và đang dần khôi phục dịch vụ. https://www.theregister.com/2026/10/22/microsoft_says_connectwise_breach_let/
Câu hỏi thường gặp
Storm-0940 là ai?
Storm-0940 là một nhóm tấn công liên kết với Trung Quốc, hoạt động từ ít nhất năm 2021. Nhóm này thường sử dụng các kỹ thuật tấn công truyền thống như phun mật khẩu và khai thác các ứng dụng hướng ra internet.
ARTEX là gì?
ARTEX là một framework thâm nhập mạng mã nguồn mở được viết bằng Go, sử dụng AI để tự động hóa các tác vụ như trinh sát, phát hiện lỗ hổng, tấn công thông tin xác thực và đánh cắp dữ liệu.
ConnectWise đã phản ứng như thế nào?
ConnectWise đã tạm dừng các dịch vụ Cloud Backup, SaaS Security và Cloud Management sau khi phát hiện truy cập trái phép. Họ cũng đang khôi phục dịch vụ và ngăn chặn các kết nối ứng dụng bị ảnh hưởng.
Góc nhìn của Orange Cloud
Theo chúng tôi, vụ việc này cho thấy AI đang được sử dụng để tăng tốc độ và quy mô của các cuộc tấn công mạng. Các doanh nghiệp Việt Nam, đặc biệt là những tổ chức sử dụng dịch vụ của ConnectWise, cần kiểm tra kỹ lưỡng quyền truy cập ứng dụng và tăng cường giám sát hoạt động bất thường. Điều đáng chú ý là việc sử dụng công cụ ARTEX cho thấy các kỹ thuật tấn công không còn là vấn đề mới, nhưng AI giúp chúng diễn ra nhanh hơn và hiệu quả hơn.